Katalog podatności CVE

W jądrze Linux w sterowniku accel/amdxdna funkcja amdxdna_cmd_set_error() pobiera referencję do pierwszego BO łańcucha poleceń, ale w ścieżce błędu mapowania nie zwalnia jej, powodując wyciek referencji. Ścieżka jest osiągalna, gdy uchwyt BO zostanie poddany recyklingowi przez przestrzeń użytkownika po przesłaniu, a następnie zaimportowany zostanie dma-buf bez implementacji vmap.

W jądrze Linux w sterowniku accel/ethosu bity 15:14 rejestru NPU_SET_{IFM,OFM}_PRECISION wybierają tryb przechowywania aktywacji tylko na U85; na U65 to samo pole zawiera tryb zaokrąglania. Parser strumienia poleceń odczytuje je jako tryb przechowywania, co powoduje odrzucanie prawidłowych strumieni U65 z -EINVAL oraz błędne obliczenia rozmiaru mapy cech.

W jądrze Linux sterownik drm/cirrus-qemu nie sprawdzał rozmiaru BAR0 podczas wykrywania urządzenia PCI. Jeśli urządzenie miało BAR0 mniejsze niż 4 MB (CIRRUS_VRAM_SIZE), sterownik mapował mniejszy obszar VRAM, a następnie mógł tworzyć większe bufor ramki i kopiować je poza zmapowaną pamięć, powodując błąd zapisu strony (page fault) w jądrze.

W jądrze Linux w funkcji update_reparse_data() sterownika ntfs ignorowana jest wartość zwracana przez set_reparse_index(). Gdy wstawienie indeksu się nie powiedzie, kod usuwa zapisane dane reparse jako sprzątanie, ale nadal zwraca 0, więc symlink(2) zgłasza sukces mimo braku danych reparse na dysku.

W jądrze Linux funkcja write_mft_record_nolock() sterownika ntfs mapuje folio rekordu MFT za pomocą kmap_local_folio(), ale ścieżki błędów pre_write_mst_fixup() i bio_add_folio() skaczą do etykiety błędu bez odmapowania. Ponieważ mapowania kmap_local są uporządkowane stosowo per zadanie, wyciek jednego psuje zagnieżdżenie dla zewnętrznych mapowań.

W jądrze Linux funkcja ntfs_cluster_free_from_rl_nolock() sterownika ntfs dodaje długość zakresu do nr_freed zawsze gdy warunek księgowania błędów jest fałszywy, co obejmuje przypadki, w których ntfs_bitmap_clear_run() faktycznie zawiodło. Ponieważ nieudane ntfs_bitmap_clear_run() wycofuje częściowe modyfikacje, żadne bity nie zostały wyczyszczone, a mimo to długość zakresu zawyża vol->free_clusters.

W jądrze Linux funkcja ntfs_sync_fs() sterownika ntfs bezwarunkowo czyści bit dirty, podczas gdy ntfs_put_super() i ścieżka ponownego montowania tylko do odczytu robią to tylko gdy NVolErrors(vol) jest fałszywe. W efekcie każde sync() na wolumenie z zapisanym błędem oznacza wolumen jako czysty, przez co nie jest przeprowadzane odzyskiwanie.

W jądrze Linux funkcja ntfs_dio_zero_range() sterownika ntfs zwraca 0 lub ujemny errno z blkdev_issue_zeroout(), nigdy wartości dodatniej. Sprawdzenie błędu zerowania w ntfs_attr_fallocate() nigdy się więc nie uruchamiało, przez co nieudana operacja zerowania była po cichu ignorowana, a nowo przydzielone klastry były wliczane do initialized_size.

W jądrze Linux funkcja ntfs_attr_find_in_attrdef() sterownika ntfs przechodzi przez tablicę $AttrDef w pamięci, ale warunek pętli ogranicza tylko początek każdego wpisu, nie cały wpis. Wolumen którego rozmiar danych $AttrDef jest mniejszy niż jeden wpis (np. 120 bajtów) powoduje odczyt poza alokacją podczas tworzenia pliku.

W jądrze Linux funkcja is_boot_sector_ntfs() sterownika ntfs sprawdza pole sectors_per_cluster sektora rozruchowego testem zakresowym, który odrzuca 0x81..0xf3, ale akceptuje 0 i inne wartości niebędące potęgami dwójki. Wartość zero trafia do parse_ntfs_boot_sector(), gdzie ffs(0) daje 0, przez co przesunięcie staje się niezdefiniowane.

W jądrze Linux występuje luka w weryfikatorze BPF, która pozwala błędnie wywnioskować, że wskaźnik nie może być NULL. Błąd występuje przy porównywaniu dwóch wskaźników, gdy jeden z nich ma typ bez flagi PTR_MAYBE_NULL, ale w czasie działania może przyjąć wartość NULL. W efekcie weryfikator nie wykrywa dereferencji wskaźnika NULL, co może prowadzić do awarii lub wykonania nieautoryzowanego kodu.

W jądrze Linux funkcja ntfs_set_ea() sterownika ntfs w ścieżce wyjścia bezwarunkowo aktualizuje flagę HasEA na podstawie ea_info_qsize. Gdy błąd wystąpi przed aktualizacją ea_info_qsize, NInoClearHasEA() ukrywa istniejące na dysku rozszerzone atrybuty (EA) aż do zwolnienia i-węzła.

W jądrze Linux weryfikator BPF mógł niepoprawnie przekształcać zapisy zerowe na stosie (scalar zero spill) w STACK_ZERO, gdy część zapisanych bajtów była już martwa. Takie przekształcenie łamało łańcuchy propagacji precyzji, co mogło prowadzić do błędnej weryfikacji programów BPF. Poprawka najprościej rezygnuje z konwersji zapisów zerowych na STACK_ZERO.

W sterowniku sieciowym stmmac w jądrze Linux funkcja stmmac_tso_xmit() nie zwalniała mapowań DMA utworzonych dla części liniowej i wcześniejszych fragmentów skb, gdy mapowanie DMA kolejnego fragmentu się nie powiodło. Prowadziło to do wycieku mapowań DMA. Poprawka zwalnia deskryptory i mapowania DMA przy użyciu stmmac_free_tx_buffer() i stmmac_release_tx_desc().

W jądrze Linux w obsłudze SCTP_CMD_TIMER_START występuje wyścig TOCTOU: sprawdzenie timer_pending() przed timer_reduce() może spowodować, że timer wygaśnie i zostanie odłączony pomiędzy tymi operacjami. Wtedy timer_reduce() uzbroi timer bez pobrania referencji do asocjacji, co prowadzi do niezrównoważenia licznika referencji i use-after-free podczas niszczenia asocjacji. Poprawka używa wartości zwracanej przez timer_reduce() do ustalenia, czy timer został faktycznie uzbrojony.

W jądrze Linux w sterowniku scsi mpi3mr funkcja mpi3mr_sas_port_add() nie sprawdza wartości NULL zwracanej przez sas_port_alloc_num() przy niepowodzeniu alokacji pamięci, co prowadzi do dereferencji NULL. Dodatkowo, gdy sas_port_add() zawiedzie, zaalokowany port nie jest zwalniany, co powoduje wyciek struktury sas_port. Poprawka dodaje sprawdzenie NULL i wywołanie sas_port_free().

W jądrze Linux w sterowniku scsi mpi3mr funkcja mpi3mr_sas_port_add() nie zwalnia referencji do urządzenia docelowego (tgtdev) w ścieżce błędu out_fail, jeśli referencja została wcześniej pobrana przez mpi3mr_get_tgtdev_by_addr(). Prowadzi to do wycieku licznika referencji i uniemożliwia zwolnienie struktury urządzenia docelowego. Poprawka dodaje zwolnienie referencji w out_fail z zabezpieczeniem NULL.

W jądrze Linux w kliencie SMB funkcja smb3_insert_range() nie sprawdza, czy nowy rozmiar pliku (i_size + len) jest prawidłowy. Pozwala to operacji FALLOC_FL_INSERT_RANGE obejść limit RLIMIT_FSIZE, przekroczyć s_maxbytes lub utworzyć rozmiar poza zakresem loff_t. Poprawka używa check_add_overflow() do obliczenia nowego EOF i waliduje go przez inode_newsize_ok().

W kliencie SMB w jądrze Linux funkcja smb3_zero_range() może rozszerzyć EOF pliku bez sprawdzenia limitu RLIMIT_FSIZE, gdy używane jest FALLOC_FL_ZERO_RANGE bez FALLOC_FL_KEEP_SIZE. Poprawka dodaje wywołanie inode_newsize_ok() przed wysłaniem żądania zero-range, gdy operacja rozszerzałaby EOF.

W kliencie SMB3 jądra Linux funkcje smb3_insert_range() i smb3_collapse_range() nieprawidłowo unieważniały pamięć podręczną stron, gdy przesunięcie lub stary rozmiar pliku (EOF) nie były wyrównane do rozmiaru strony. Strony brzegowe były tylko częściowo zerowane i pozostawały oznaczone jako aktualne, przez co klient mógł zwracać nieaktualne dane po udanej operacji insert/collapse range.